Yarbo Android 및 iOS 애플리케이션에는 모든 사용자 및 모든 장치에 대해 동일한 하드 코딩된 MQTT 브로커 자격 증명이 포함되어 있습니다. 이러한 자격 증명은 애플리케이션 바이너리에 내장되어 있으며 APK 디컴파일을 통해 쉽게 추출할 수 있습니다. 자격 증명은 전체 글로벌 Yarbo 로봇 함대에 대한 실시간 원격 측정을 수행하는 클라우드 MQTT 브로커에 대한 액세스를 제공합니다. 모든 로봇 원격 측정 항목에 대한 와일드카드 구독과 로봇의 se만 사용하여 로봇의 명령 항목에 대한 게시를 모두 허용합니다.
Yarbo Android 및 iOS 애플리케이션에는 모든 사용자 및 모든 장치에 대해 동일한 하드 코딩된 MQTT 브로커 자격 증명이 포함되어 있습니다. 이러한 자격 증명은 애플리케이션 바이너리에 내장되어 있으며 APK 디컴파일을 통해 쉽게 추출할 수 있습니다. 자격 증명은 전체 글로벌 Yarbo 로봇 함대에 대한 실시간 원격 측정을 수행하는 클라우드 MQTT 브로커에 대한 액세스를 제공합니다. 모든 로봇 원격 측정 항목에 대한 와일드카드 구독과 로봇의 일련 번호만 사용하여 로봇의 명령 항목에 대한 게시를 모두 허용합니다.
왜 이 VPI인가 (설명가능 · 실험적)
VPI 산정 기준
| 영향도 | 93.00 |
| 악용 신호(추가 악용신호 없음) | ×1.00 |
| VPI | 93.00 |
VPI 공식 vpi-v1 기준
| 소스 | CVSS 버전 | 기본 점수 | 심각도 | 벡터 문자열 | 평가일 |
|---|---|---|---|---|---|
| NVDNIST | 4.0 | 9.3 | CRITICAL | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X | 2026. 06. 13. |
| NVDNIST | 3.1 |
| 9.8 |
CRITICAL |
| CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 2026. 06. 13. |